【wireshark实验】分析中间人攻击

0x01 中间人攻击的相关理论

• 中间人攻击的目标并不是交换机，而是终端设备（例如计算机、手机等)。在每一台终端设备中都有一个ARP缓存表，这个表中保存了一些IP地址和MAC地址之间的对应关系。
• 通常应用程序只能通过IP地址进行通信，但是在内部网络中使用的交换机却不能识别IP地址。因此每一台终端设备在发送应用程序产生的数据包时，必须在它里面添加上一个MAC地址。而这个MAC地址是哪里来的呢?

0x02 ARP协议小实验

• 数据包在局域网内部是无法使用IP地址进行通信的，因为局域网中的连接设备只能识别MAC(硬件)。但是应用程序发出的数据包中往往只包含了目标的IP地址，此时就需要由ARP程序来找到数据包目的IP地址对应的MAC地址。
• 在每一台计算机中都存在有一个ARP缓存表，这个表动态地保存了一些IP地址和MAC地址的对应关系。当计算机接收到一个数据包之后，就会通过ARP程序在这个表中查找包中IP地址所对应的表项，然后根据这个表项在数据包中再添加MAC地址。
• 如果没有在缓存表中找到对应的表项，ARP程序就会在局域网中进行广播，询问网络中是否存在这样一个IP地址。如果局域网中有计算机使用了这个IP地址，那么它就会回应一个包含了自己MAC地址的信息，这样计算机就可以将这个信息添加到自己的ARP缓存中，并将这个数据包填写好目的MAC地址发送输出。

我们抓取本机的arp包，限定协议为arp并且mac地址为本机的

arp and eth.addr==00-BB-60-07-75-A6

这时候因为的arp缓存表中有网关10.8.0.1的mac地址，所以arp协议不是广播的而是指定目标mac地址

这时候我们使用-d参数来清除arp缓存表

再查看wireshark抓取的数据包发现，发往10.8.0.1的arp数据包变成了广播的，因为此时arp缓存表中不存在10.8.0.1的mac地址表项，ARP程序在局域网中进行广播，询问网络中是否存在这样一个IP地址。

而下一个数据包由10.8.0.1回应一个包含了自己MAC地址的信息，本机将这个信息添加到自己的ARP缓存中，并将这个数据包填写好目的MAC地址发送输出。所以之后发往10.8.0.1的数据包都指定了mac地址而不是广播。

0x03 ARP欺骗实验

• ARP协议简单高效，但是这个协议存在一个重大的缺陷，就是这个过程并没任何的认证机制，也就是说如果一台主机收到ARP请求数据包，形如“注意了，我的IP地址是192.168.1.100，我的物理地址是22:22:22: 22: 22:22，IP地址192.168.1.2在吗，我需要和你进行通信，请告诉我你的物理地址，收到请回答!”的数据包，但并没有对这个数据包进行任何真伪的判断，无论这个数据包是否真的来自192.168.1.100，都会将其添加到ARP表中。因此黑客就可能会利用这个漏洞来冒充网关等主机。

实验机器

kali2020：192.168.43.147
win10：192.168.43.114
网关：192.168.43.1

先使用kali的wireshark开始监听，并设置显示过滤器只显示win10的数据包

ip.addr == 192.168.43.114

此时win10上网kali并不能抓到win10的数据包

使用kali的ettercap进行arp欺骗

探测局域网存活主机

设置win10为目标1，设置网关为目标2

开始arp欺骗

此时kali成功抓取到了win10的数据包

过滤oicq协议成功获取登录在win10的qq信息

ip.addr == 192.168.43.114 && oicq

查看win10arp缓存表，网关地址成功被替换为kali的mac地址，arp欺骗成功

0x04 wireshark专家模式以及arp欺骗分析

• 这里我们要使用Wireshark 中的一个强大的智能功能——专家系统。其实在上面的数据包文件中，不仅仅是我们发现了问题，Wireshark也同样发现了问题。而且 Wireshark比起我们来说拥有更大的优势，因为它的处理速度远不是手工可以相比的。

专家模式暂停抓包才能使用

点击左下角圆圈打开专家模式

可以发现，wireshark成功发现了此次arp欺骗攻击

我们分析一下00-0c-29-ef-29-24这个mac地址

arp.src.hw_mac == 00-0c-29-ef-29-24

可以发现192.168.43.1（网关）和192.168.43.114（win10）的mac地址都被回应是00-0c-29-ef-29-24，并且arp是一问一答，而这里一个请求包回应了多个arp响应，我们可以初步判定两个目标都被arp欺骗

0x05 防御中间人攻击

10.4.1静态绑定ARP表项
10.4.2使用DHCP Snooping功能10.4.3划分VLAN
10.4.4 ARP防火墙

0x06 其他

arp数据包，请求包的opcode字段为1，回应包的opcode字段为2


那么我们就能用arp.opcode == 0x0001来筛选请求包，用arp.opcode == 0x0002来筛选回应包